CVE-2026-77067 in Omnivore
Résumé
par VulDB • 20/08/2026
Le setWebhookResolver dans packages/api/src/resolvers/webhooks/index.ts stocke l'URL fournie par l'appelant sans aucune validation d'adresse, et le fichier n'importe aucun assistant de validation. Lorsqu'un événement abonné se déclenche, callWebhook dans packages/api/src/jobs/call_webhook.ts émet axios.request avec cette URL, la méthode et le Content-Type enregistrés sur le webhook, ainsi qu'un corps JSON contenant les données de l'événement ; un utilisateur authentifié peut donc amener le serveur à envoyer des requêtes répétées façonnées par l'attaquant vers des points de terminaison internes, y compris les adresses metadata link-local. La requête est aveugle : callWebhook ignore le résultat et n'écrit qu'une ligne de succès ou l'erreur axios dans les logs du serveur ; la réponse n'est donc pas renvoyée via l'API.
If you want to get best quality of vulnerability data, you may have to visit VulDB.